Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '*w7ZTrZy' = ''
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe "%HOMEPATH%\Local Settings\2qcd8Ede\WcsA_hAX._Tq",HFF8
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cscript.exe
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\ctfmon.exe
большое количество пользовательских процессов.
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Google\Google Talk\Accounts]
- [<HKCU>\Software\Paltalk]
Скрывает следующие процессы:
- <SYSTEM32>\rundll32.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\2qcd8Ede\2GSsH22d2H2222222222222222.jLB
- %TEMP%\gtapi.dll
- %HOMEPATH%\Local Settings\2qcd8Ede\2GSsKHKVKVH2pww_KdnN6wKtV_d.jLB
- %HOMEPATH%\Local Settings\2qcd8Ede\2GSsKH2tdpH2pww_KdnNKNrr6nV.jLB
- %HOMEPATH%\Local Settings\2qcd8Ede\oBpXF2XI.FOT
- %HOMEPATH%\Local Settings\2qcd8Ede\0-n4wm4i.wDa
- %HOMEPATH%\Local Settings\2qcd8Ede\NDHJQ9J5.QdS
- %HOMEPATH%\Local Settings\2qcd8Ede\WcsA_hAX._Tq
- %HOMEPATH%\Local Settings\2qcd8Ede\h7YSBjSd.Bkw
- %HOMEPATH%\Local Settings\2qcd8Ede\9MaWAsWo.AZx
- %HOMEPATH%\Local Settings\2qcd8Ede\5_PuaouU.af8
Удаляет следующие файлы:
- %TEMP%\gtapi.dll
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
